Wi-Fi ya umma na VPN: kile ambacho handaki haikifuniki

Beji ya kijani, potali iliyoridhika, kivinjari kinachofanya kazi: hiyo ni hadithi yote inayoonekana. Ambayo beji inaacha ni kwamba muunganisho uliosimbwa hubebwa na kiungo hicho cha wireless ambacho kinapaswa kukulinda dhidi yake. Kiungo hicho bado kinawasilisha kila pakiti, bado kinaona anwani ya lengwa na bado kinaamua ikiwa kitu chochote kitafika. Kupitia upande wa kompyuta ya mpito wa muunganisho wa hoteli kunaonyesha sehemu ambazo handaki hufunika na zile inazokuachia.

Kiungo cha ufikiaji hubeba kila kitu

Handaki ya IPsec ESP hufungasha pakiti ya ndani iliyolindwa ndani ya kichwa cha nje ambacho mtandao unaweza kuelekeza, na RFC 4303 sehemu 3.1.2 inaeleza mgawanyiko huo. Pakiti ya ndani ni kile ambacho handaki hulinda. Kichwa cha nje ni kile ambacho hotspot husoma ili kuisambaza. Miundo mingine hufunga kwa njia tofauti, lakini swali la upangaji ni lile lile: njia gani ya ufikiaji hubeba muunganisho huu?

Kushindwa kwa lango au kiungo kinachodondosha pakiti husimamisha uwasilishaji bila kufichua maudhui. Kubadilika kwenda sifa kali zaidi hakusaidii kwa hilo, kwa sababu kipande kinachokosekana ni usafirishaji, si usimbaji fiche. Uwasilishaji wenye mafanikio huthibitisha kidogo vilevile upande mwingine, kwa kuwa njia inayofanya kazi haisemi chochote kuhusu hali ya mashine yoyote kati ya hizo mbili.

Kompyuta yako bado ina milango yake yenyewe

Kujiunga na sehemu isiyoaminika hubadilisha nani anaweza kufikia bandari ambazo mashine yako inasikiliza. Huduma ya kushiriki faili, wakala wa usimamizi wa mbali au seva ya ukuzaji iliyofungwa kwa violesura vyote inafikiwa na mtu yeyote katika sehemu hiyo isipokuwa kuna kitu kinachoisimamisha. Trafiki ambayo haingii kamwe kwenye handaki hailindwi nayo. Msikilizaji anayejibu kabla handaki haijainuka ameathirika kwa dirisha hilo hasa.

Hitaji ni dogo na linastahili kutamkwa kwa usahihi: kompyuta lazima ifikie kitovu cha mwisho cha VPN, na vifaa visivyohusiana kwenye hotspot havipaswi kufikia huduma za ndani. Kanuni za firewall ya mwenyeji zinaeleza mpaka huo, na mipangilio ya kushiriki ya jukwaa yenyewe pia inaeleza sehemu yake. Printa au hatua ya potali ni msamaha mdogo unaoongeza kwa makusudi, si uthibitisho kwamba hotspot yote inastahili uaminifu wa LAN ya ofisi.

Mashirika mengine pia huzuia ufikiaji wa ndani wakati muunganisho wa kazi uko hai, na hiyo ni sera si uhandisi. Soma sera hiyo kabla ya kuzima firewall ili kifaa cha pembeni kifanye kazi.

Angalia kile kinachosikiliza kwa kweli

Angalia soketi na si ukurasa wa mipangilio, kwa sababu ukurasa unaeleza nia na jedwali la soketi linaeleza mashine. Orodha mbili hapa chini hutenganisha kila soketi inayosikiliza na zile ambazo jirani angeweza kufikia. Zikimbie katika sehemu isiyoaminika kabla ya kuunganisha handaki.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Amri ya kwanza inaonyesha kila soketi, na ya pili huchuja zile zilizofungwa nje ya loopback. Huduma kwenye 0.0.0.0 au :: inapatikana kwenye kila kiolesura, ikiwemo cha wireless, wakati huduma hiyo hiyo kwenye 127.0.0.1 haifikiki kabisa kutoka sehemu. Swali la kitatuzi huthibitisha njia gani jina huchukua kabla handaki haijakuwepo, na hapo ndipo potali zilizotekwa huingilia. Rudia orodha baada ya kuunganisha, kwa sababu baadhi ya wateja huinua violesura vinavyobadilisha jibu.

Bandari inayoonekana tu wakati handaki iko juu imeathirika kidogo, ingawa bado inafaa kuijua. Andika tofauti na si orodha kamili, kwa kuwa delta ndiyo iliyoongezwa na handaki.

Usikubali utambulisho mpya katikati ya kikao

Mabadiliko ya njia yasiyotarajiwa, kuunganisha upya au uelekezaji upya wa potali si ruhusa ya kukubali utambulisho tofauti wa seva. Iwapo mteja ariripoti kutolingana kwa cheti au ufunguo, chukulia kama ugunduzi wa utambulisho na si kama muunganisho wa kuepukwa. Kusakinisha cheti cha mzizi kisichoelezwa ili potali ifanye kazi hubadilisha tatizo la uwasilishaji kuwa tatizo la uaminifu. Kisha tatizo la uaminifu huishi zaidi ya safari iliyoliunda.

Tumia mtiririko wa kivinjari wa potali yenyewe, kisha unganisha handaki tena na usome kwenye kumbukumbu ya mteja utambulisho uliothibitishwa. Kushindwa kwa utambulisho kunamaanisha upande mwingine si yule uliyemtazamia, wakati kushindwa kwa uwasilishaji kunamaanisha upande mwingine haukujibu kamwe. Ya kwanza ni sababu ya kusimama, na ya pili ni sababu ya kujaribu njia nyingine.

Kwanza amua tabia wakati wa hitilafu

Hapa sifa mbili tofauti huchanganywa. Kuunganisha upya hujaribu kurejesha huduma, wakati sera ya kuzuia hudhibiti trafiki gani inaruhusiwa wakati handaki iko chini. Hakuna inayotoa kiungo cha wireless kinachofanya kazi, na hakuna inayothibitisha kwamba kitovu cha mwisho ni safi. Chagua kwa uwazi: kushindwa kwa kufungwa kwa programu ambazo hazipaswi kamwe kutumia njia ya ndani, na kuruhusu kuvinjari kwa kawaida nje ya handaki ikiwa hilo linakubalika.

Andika chaguo, kwa sababu chaguo-msingi katika wateja wengi si lolote kati ya hayo, na hutofautiana kulingana na toleo. Kisha panga njia mbadala ya ufikiaji ikiwa upatikanaji ni muhimu, kama hotspot ya simu yenye mpango wake wa data. Jaribio la kukubalika linalokubalika lina matokeo matatu tofauti: trafiki inayokusudiwa hutumia handaki iliyothibitishwa, wasikilizaji wa ndani wasiohusiana hawafikiki, na hitilafu huzalisha tabia uliyochagua.